L'impatto della nuova legge europea sulla resilienza informatica
Le minacce informatiche sono in aumento e i produttori di tutto il mondo sentono la pressione di rafforzare le loro difese digitali. Per la maggior parte, i titoli dei giornali sono dominati da violazioni di dati di alto profilo. Tuttavia, le piccole e medie imprese, soprattutto nel settore manifatturiero, tendono a essere altrettanto vulnerabili.
In risposta a queste crescenti preoccupazioni, l'Unione Europea (UE) sta approvando nuove norme sulla sicurezza informatica. Queste leggi sulla cybersecurity influenzeranno in modo significativo la progettazione, la produzione e la vendita di prodotti con componenti digitali all'interno dei loro confini. Uno degli atti legislativi più critici è il Cyber Resilience Act (CRA) 2024 dell'UE.
Che cos'è il Cyber Resilience Act (CRA) 2024 dell'UE?
Il Cyber Resilience Act (CRA) 2024 è una normativa di riferimento proposta dall'Unione Europea [1]. Il suo scopo è garantire che i prodotti che contengono elementi digitali rispettino i necessari standard di sicurezza informatica. Il CRA adotta un approccio diverso rispetto alle misure precedenti, che si concentravano sulle infrastrutture critiche. Include un'ampia gamma di prodotti, dalle apparecchiature industriali con software incorporato all'elettronica di consumo come gli elettrodomestici intelligenti.
Ambito di applicazione: Qualsiasi prodotto che contenga componenti digitali è soggetto a questa normativa. Ciò significa che una rete deve avere un qualche tipo di connessione al software o all'hardware, sia essa diretta o indiretta.
Obiettivo: L'obiettivo principale è quello di integrare la cybersicurezza in tutto il ciclo di vita del prodotto. Dalla progettazione e lo sviluppo alla sorveglianza post-vendita, alla gestione delle vulnerabilità e alla rendicontazione.
In altre parole, se producete o importate dispositivi connessi o intelligenti nell'UE, dovete rispettare queste nuove regole di cybersecurity.
A chi si applica il Cyber Resilience Act 2024?
Il CRA 2024 ha implicazioni per un'ampia gamma di soggetti interessati, sia all'interno che all'esterno dell'UE:
Produttori con sede nell'UE: Tutte le imprese con sede nell'UE i cui prodotti utilizzano parti digitali saranno soggette alle regole della CRA.
Produttori extra-UE che vendono nell'UE: Quando un prodotto viene venduto o importato nell'UE, entrano in vigore i regolamenti. Questo vale anche se il produttore è di un altro Paese. [2]. Ciò significa che i produttori americani, asiatici e di altri Paesi devono conformarsi alla normativa se vogliono accedere al mercato dell'UE.
Partner della catena di approvvigionamento: I distributori e gli importatori nell'UE hanno entrambi un ruolo nell'assicurare che i prodotti siano conformi al CRA. Se un prodotto risulta non conforme o presenta vulnerabilità note e non risolte, possono essere ritenuti responsabili.
Con una rete così ampia, il CRA mira a elevare gli standard di sicurezza informatica a livello generale. In questo modo si garantisce che tutti i prodotti presenti sul mercato dell'UE siano al sicuro dalle minacce informatiche.
Quale sarà l'impatto del Cyber Resilience Act sui produttori?
Multe e sanzioni
La non conformità può essere costosa. Secondo l'attuale proposta della CRA, i produttori potrebbero incorrere in pesanti sanzioni.
Possono incorrere in multe fino a 15 milioni di euro o al 2,5% del loro fatturato globale annuo. In caso di reati gravi, la decisione si baserà sulla somma maggiore. [2]
Per i professionisti in prima linea, ciò evidenzia l'importanza di integrare pratiche software sicure. Inoltre, sottolinea la necessità di integrare i componenti hardware fin dalle fondamenta, sia che si tratti di progettazione, produzione o manutenzione.
Onere normativo
I produttori dovranno adottare processi più rigorosi per lo sviluppo dei prodotti. Dovranno inoltre migliorare le loro pratiche di valutazione del rischio e di documentazione per conformarsi al CRA 2024. Ciò potrebbe includere:
- Implementare metodi che garantiscano un codice sicuro.
- Effettuando regolarmente valutazioni di vulnerabilità.
- Fornire un'etichettatura chiara dei prodotti sulle caratteristiche e sui rischi della sicurezza informatica.
Per soddisfare queste richieste, molte aziende potrebbero dover ripensare il loro approccio all'assunzione di persone con competenze in materia di cybersecurity. Inoltre, per garantire che i componenti soddisfino gli standard, è necessaria una maggiore formazione e una possibile ristrutturazione del processo di approvvigionamento.
Differenziazione del mercato
L'aspetto positivo è che la conformità può distinguervi dalla concorrenza. Le aziende che adottano una posizione forte sulla sicurezza informatica possono guadagnarsi la fiducia delle autorità di regolamentazione. Sono anche in grado di conquistare la fiducia degli utenti finali, il che consente loro di distinguersi in un settore altamente competitivo.
La tempistica del Cyber Resilience Act (CRA) per i produttori
L'introduzione della legge avverrà per gradi, dando ai produttori il tempo di adattarsi, anche se questa finestra è relativamente breve:
- 10 dicembre 2024: Quando il CRA inizia ad essere in vigore.
- 11 giugno 2026: a questo punto si applicano gli obblighi relativi agli organismi di valutazione della conformità.
- 11 settembre 2026: diventano applicabili i requisiti di segnalazione delle vulnerabilità e degli incidenti di sicurezza.
- 11 dicembre 2027: piena applicazione del CRA, che segnerà il termine ultimo per la completa conformità ai regolamenti sulla cybersecurity.
In vista di queste date, i produttori dovrebbero iniziare a valutare il loro approccio alla conformità. Nel caso in cui la vostra azienda abbia un ciclo di progettazione-produzione lungo, è fondamentale dare priorità all'avvio delle misure di cybersecurity in una fase iniziale. Ciò contribuirà a garantire la preparazione entro il dicembre 2027.
Su quali prodotti impatta il CRA 2024?
Il CRA 2024 si applica a un'ampia gamma di prodotti con elementi digitali o collegabili in rete, tra cui:
- Macchinari utilizzati nell'industria con sistemi di controllo incorporati.
- Sensori intelligenti, robotica e dispositivi industriali dell'Internet delle cose (IIoT).
- Elettronica per i consumatori, come le apparecchiature mediche connesse o gli elettrodomestici intelligenti (nei casi in cui sono collegati ai processi produttivi, come nel caso dei prodotti farmaceutici).
- Applicazioni software che fanno parte delle operazioni critiche della catena di approvvigionamento.
Se un dispositivo può connettersi a una rete, è probabile che rientri nell'ambito di applicazione del CRA. Inoltre, se è potenzialmente in grado di scambiare dati, è probabile che venga incluso. Anche i dispositivi più semplici potrebbero essere soggetti a sorveglianza se dispongono di una qualche forma di connettività.
Quali saranno le ripercussioni per i produttori che commerciano con l'UE?
Per i produttori al di fuori dell'UE, il CRA 2024 stabilisce un chiaro limite normativo:
- Restrizioni all'importazione: Qualsiasi prodotto non conforme agli standard del CRA rischia di non essere ammesso nel mercato dell'UE.
- Maggiore controllo: È probabile che le certificazioni, la documentazione e le attività di sorveglianza post-vendita saranno soggette a un maggiore controllo per le aziende al di fuori dell'UE [3].
- Potenziale riprogettazione: Per soddisfare i requisiti del CRA potrebbe essere necessario riprogettare o riconfezionare i prodotti. In particolare, quelli che si basano su componenti software non sicuri o molto vecchi.
In sostanza, è indispensabile che i fornitori globali rafforzino i loro standard di cybersecurity. Questo è fondamentale per mantenere o espandere la loro presenza in uno dei più grandi mercati del mondo.
Direttiva NIS2 e CRA
La direttiva NIS2 è parallela alla CRA. Si concentra sulla sicurezza informatica delle infrastrutture chiave, tra cui energia, trasporti, banche e sanità [4].
NIS2 si concentra sulle esigenze di sicurezza informatica delle organizzazioni e delle infrastrutture. In questo modo, garantisce che i fornitori di servizi e gli operatori si conformino a norme di sicurezza rigorose. Il CRA, invece, pone l'accento sui prodotti stessi.
Intersezione: I produttori che forniscono prodotti o servizi agli operatori di infrastrutture critiche nell'ambito del NIS2 probabilmente sentiranno l'impatto combinato. Ad esempio, un'azienda specializzata nella produzione di sistemi di controllo industriale per le centrali elettriche è ora chiamata a svolgere nuovi compiti. Deve garantire la conformità sia della cybersicurezza operativa del sistema che della sicurezza intrinseca del prodotto.
Sinergia: Insieme, questi regolamenti mirano a colmare le lacune della cybersicurezza. L'obiettivo della NIS2 è di preparare le organizzazioni alle minacce informatiche. Nel frattempo, il Cyber Resilience Act mira a garantire che i prodotti utilizzati siano sicuri per progettazione.
In cosa si differenzia il CRA 2024 dal CIRCIA 2022?
Negli Stati Uniti, il Cyber Incident Reporting for Critical Infrastructure Act (CIRCIA) del 2022 è fortemente incentrato sugli obblighi di segnalazione per gli operatori delle infrastrutture critiche [5]. Le organizzazioni devono segnalare gli incidenti informatici significativi. Questo deve essere fatto entro un termine specifico alla Cybersecurity and Infrastructure Security Agency (CISA).
Ambito di applicazione: L'obiettivo principale della CIRCIA è la segnalazione tempestiva degli incidenti informatici e la protezione delle infrastrutture vitali. Nel frattempo, il CRA si rivolge alle caratteristiche di sicurezza informatica di tutti i prodotti con componenti digitali venduti o commercializzati nell'UE.
Prevenzione vs. reattività: le misure "preventive", come il secure by design e la gestione delle vulnerabilità, sono molto apprezzate dal CRA. Ciò significa che la CIRCIA è più "reattiva", concentrandosi sulla segnalazione obbligatoria dopo il verificarsi di un incidente.
Influenza globale: Il Cyber Resilience Act copre un'ampia gamma di beni connessi. Ciò suggerisce che l'UE intende stabilire uno standard normativo di cybersicurezza più elevato per gli oggetti di uso quotidiano. Questo concetto è meno centrale in CIRCIA.
Le normative sulla cybersecurity che impattano sui produttori di altri paesi
Esistono diversi standard di cybersecurity che i produttori di tutto il mondo stanno cercando di soddisfare:
Asia-Pacifico: Paesi come Singapore, Giappone e Australia stanno tutti rafforzando le loro leggi sulla sicurezza informatica. Questo in risposta alle crescenti minacce nei settori critici, tra cui la produzione e le catene di approvvigionamento [6]. Spesso le loro leggi sono incentrate sulla protezione dei dati, sulla segnalazione obbligatoria degli incidenti e sulla protezione delle infrastrutture.
Regno Unito: Pur avendo lasciato l'UE, il Regno Unito ha mantenuto uno stretto allineamento con le leggi sulla cybersicurezza dell'UE in molti aspetti. D'altra parte, ha anche la flessibilità di divergere. Stanno emergendo nuove leggi, come il Product Security and Telecommunications Infrastructure (PSTI) Act. Questa legge si concentra sulla sicurezza dei dispositivi IoT dei consumatori, ma può avere effetti anche sui contesti industriali.
Tendenza globale: Vi è una chiara indicazione della direzione da seguire in Nord America, Europa e nella regione Asia-Pacifico. I governi emanano leggi più severe in materia di sicurezza informatica a un ritmo allarmante. Queste normative impongono ai produttori responsabilità sostanziali nella progettazione di prodotti sicuri e nella loro manutenzione durante l'intero ciclo di vita.
Come il CRA è stato accolto dai produttori
Come primo passo verso l'adozione di standard di cybersecurity a livello di mercato, la legge gode del sostegno di molti importanti produttori e gruppi commerciali. Ciò può contribuire a ridurre la confusione e ad affrontare le sfide poste dalle diverse normative nazionali. Inoltre, può contribuire a livellare il campo di gioco, soprattutto per le piccole e medie imprese [7].
Alcuni piccoli produttori si preoccupano dell'onere normativo e dei costi di conformità. In particolare, quelle che dispongono di minori risorse da investire in nuovi processi e formazione. Si chiedono se la tempistica sia fattibile e se sia disponibile un supporto sufficiente per aiutarli ad adeguarsi alle nuove normative.
Cosa significa questo per le future normative del settore?
Il Cyber Resilience Act 2024 dell'UE segna un'evoluzione più ampia nel modo in cui i governi considerano la sicurezza informatica. Il CRA garantisce che la sicurezza dei prodotti sia prioritaria. Stabilisce un requisito legale che va dalle fasi iniziali a quelle successive alla distribuzione.
Armonizzazione globale: Le leggi sulla sicurezza informatica potrebbero convergere grazie all'adozione degli standard più elevati dell'UE da parte di altri Paesi.
Maggiore trasparenza: Aspettatevi un'etichettatura e una documentazione più esplicita sulle caratteristiche di sicurezza di un prodotto, potenzialmente simile a un'"etichetta di efficienza energetica" ma per la sicurezza informatica.
Requisiti di competenza più elevati: L'alfabetizzazione alla cybersecurity diventerà una competenza essenziale per i ruoli che storicamente non vi si sono dedicati. Ingegneri, tecnici e specialisti degli approvvigionamenti potrebbero aver bisogno di formazione e risorse aggiuntive.
Il Cyber Resilience Act (CRA) 2024 dell'UE è destinato a trasformare la progettazione, la produzione e la vendita di prodotti con componenti digitali. Questo cambiamento non avrà effetti solo sull'Europa, ma anche su scala mondiale. La sua ampia portata riguarda tutti, dai più piccoli fornitori di componenti ai più grandi OEM. Di conseguenza, richiede un approccio alla sicurezza dei prodotti che sia proattivo e collaborativo.
Il tempo è fondamentale per i produttori. In ogni fase del ciclo di vita del prodotto, le aziende devono includere le questioni di cybersecurity nelle loro operazioni. Questo è essenziale per affrontare il crescente numero di scadenze importanti che si stanno avvicinando. Le più importanti sono quelle che vanno dal dicembre 2024 al dicembre 2027.
La portata di questo lavoro andrà oltre la semplice conformità. Offrirà l'opportunità di ottenere un vantaggio competitivo. Inoltre, migliorerà l'immagine del vostro marchio e rafforzerà le vostre catene di approvvigionamento e i vostri metodi di produzione.
Anche se gli standard globali variano, il messaggio fondamentale rimane lo stesso: la cybersecurity non è più un optional, ma è vitale per la produzione moderna. Accettare questo cambiamento può contribuire a rendere le operazioni a prova di futuro. Inoltre, può proteggere dati preziosi e garantire che i prodotti rimangano sicuri in un mondo interconnesso.
Riferimenti
[1] https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act
[2] https://www.european-cyber-resilience-act.com/
[3] https://www.washingtonpost.com/politics/2023/01/03/europes-cybersecurity-dance-card-is-full/
[4] https://emteria.com/blog/nis2-vs-cra-android
[7] https://www.forrester.com/blogs/european-cybersecurity-reflections-2024/
